Vybrané otázky aplikace GDPR ve školách

Posouzení vybraných otázek aplikace GDPR ve školách, školských a předškolních zařízeních

Řada škol stále tápe při řešení vybraných otázek souvisejících se zpracováním osobních údajů a s aplikací nařízení Evropského parlamentu a Rady (EU) 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen „GDPR“). To nabylo účinnosti dne 25. 5. 2018 a stanoví jednotný právní rámec pro zpracování osobních údajů v Evropské unii a některých dalších státech[1]. Nejzásadnější dopad má GDPR na ty správce osobních údajů, kteří zpracovávají osobní údaje subjektů údajů ve značném rozsahu. Mezi takové správce osobních údajů patří bezpochyby školy, školská a předškolní zařízení. V rámci naší advokátní praxe se i nyní, téměř 5 měsíců po nabytí účinnosti GDPR, setkáváme s řadou jejich dotazů na správnou aplikaci GDPR u vybraných činností. Cílem tohoto článku je poskytnutí odpovědi školám, školským a předškolním zařízením na alespoň některé z často podkládaných otázek.

Uveřejňování fotografií a kontaktů na zaměstnance na webu školy

Školy jako správci osobních údajů mohou zpracovávat osobní údaje zaměstnanců pouze pro účely, pro které jim svědčí některý z právních titulů stanovených ve čl. 6 GDPR[2]. Školy považují často za užitečné informování rodičů žáků a dalších osob o kontaktních údajích na pedagogy a další zaměstnance školy na svých webových stránkách. Takové informování však nelze z hlediska zpracování osobních údajů považovat za plnění právní povinnosti školy, za plnění úkolů školy ve veřejném zájmu, ani není nezbytné k plnění smlouvy uzavřené mezi školou a jejím zaměstnancem. Je tedy třeba posoudit, zda existuje oprávněný zájem školy nebo třetí strany na uveřejnění kontaktních údajů na webových stránkách, přičemž před tímto oprávněným zájmem nemají přednost zájmy a práva zaměstnanců na ochranu jejich osobních údajů a jejich soukromí. S odkazem na konstantní výkladovou praxi Úřadu pro ochranu osobních údajů[3] (dále jen „ÚOOÚ“) uvádíme, že školy jsou oprávněny uveřejňovat na svých webových stránkách základní identifikační a kontaktní údaje zaměstnance (jméno a příjmení, akademický titul, číslo pracovního telefonu, pracovní e-mail) na základě svého oprávněného zájmu, a neměly by tedy požadovat k tomuto uveřejnění jejich souhlas[4]. Naopak uveřejnění portrétních fotografií zaměstnanců na webových stránkách školy přesahuje hranice přiměřené a důvodné realizace oprávněného zájmu školy, a je tak podmíněno předchozím odvolatelným souhlasem zaměstnanců.

Uveřejňování fotografií a videí ze školních akcí

Intenzivně diskutovanou otázkou je také oprávnění škol k uveřejňování fotografií a videí ze školních akcí na webových stránkách školy, ve školním časopise, nebo třeba na sociálních sítích. S ohledem na výkladovou praxi ÚOOÚ[5] nepředstavuje příležitostné pořízení fotografií a videí ze školní akce (např. sportovní hry a školy v přírodě) zpracování osobních údajů ve smyslu čl. 4 odst. 2 GDPR, pokud tyto neslouží k vytváření evidence o žácích nebo nejsou současně uváděny další informace o zachycených osobách nad rámec jejich jména a příjmení. V těchto případech není tedy potřeba řešit existenci právního titulu zpracování podle GDPR, je však stále třeba posuzovat soulad s ust. § 84 až § 90 občanského zákoníku[6].

Podle občanského zákoníku je možné zachytit a uveřejnit podobu osoby tak, že může být určena její totožnost, výhradně s jejím svolením. Zákonné výjimky tvoří situace, kdy osoba svolí k zobrazení své podoby za okolností, kdy je zřejmé, že fotografie nebo video budou šířeny určitým (obvyklým) způsobem[7], nebo jsou fotografie či video pořízeny a uveřejněny za účelem zpravodajské (informační) činnosti[8]. Právě výjimka tzv. zákonné zpravodajské licence je přitom využitelná pro uveřejnění fotografií a videí pořízených příležitostně na školní akci ve školním časopise, na webu školy nebo na účtu školy na sociální síti. V případě těchto fotografií a videí uveřejněných v přiměřeném rozsahu není škola povinna vyžadovat souhlas žáků (příp. jejich zákonných zástupců) s jejich pořízením a uveřejněním. Rozdílně je ovšem posuzována situace, kdy dochází k uveřejňování fotografií a videí nikoliv pro čistě zpravodajské (informační) účely školy, ale pro účely marketingové propagace školy (typicky za účelem získání nových uchazečů o studium). V případě cíleného použití fotografií a videí ze školních akcí pro marketingové účely školy nelze výjimku tzv. zákonné zpravodajské licence použít a je třeba vyžádat souhlas žáků (příp. jejich zákonných zástupců).[9]                                                                                

Odlišný závěr je třeba přijmout také při uveřejnění fotografie nebo videa zachycující cíleně konkrétního žáka (např. vítěze soutěže nebo olympiády). V takovém případě se již bude jednat o zpracování osobních údajů tohoto žáka školou ve smyslu čl. 4 odst. 2 GDPR, a bude třeba identifikovat platný právní titul školy k takovému zpracování. Je přitom diskutovanou otázkou, zda je pro takové uveřejnění aplikovatelný právní titul oprávněný zájem školy, nebo zda je nutné vyžadovat předchozí souhlas tohoto žáka školy (příp. jeho zákonných zástupců). Ministerstvo školství, mládeže a tělovýchovy ČR (dále jen „MŠMT“) se přitom ve svých metodických pokynech[10] k aplikaci GDPR poměrně jednoznačně přiklonilo k závěru, že v propagačních materiálech školy a na školním webu lze uveřejňovat obrazové informace o úspěších žáka s uvedením jeho jména, příjmení a třídy pouze se souhlasem žáka (příp. jeho zákonného zástupce).          

Uveřejňování výkresů a dalších děl vytvořených žáky při výuce

Další problematickou otázkou z pohledu aplikace GDPR je oprávnění škol vystavovat výkresy a jiná díla žáků na nástěnkách nebo ve školních galeriích spolu s uvedením jejich jména, příjmení, příp. podpisu. I v tomto případě probíhá intenzivní odborná diskuze, zda je pro takové zveřejnění výkresů nebo děl žáků v prostorách školy třeba jejich souhlasu (příp. souhlasu jejich zákonného zástupce), nebo je dostatečným právním titulem oprávněný zájem školy na takovém zveřejnění. Metodické pokyny MŠMT nedávají jednoznačnou odpověď, když výslovně požadují souhlas žáka (příp. zákonného zástupce) pouze pokud je výkres nebo dílo vystaveno v galerii mimo prostory školy.[11] Škola má dle našeho právního názoru oprávněný zájem na přiměřené prezentaci výstupů z odučených hodin, informuje tak rodiče dětí o náplni výuky a výstupech jejich dětí. Tedy uveřejnění výkresů a jiných děl žáků s jejich jménem, příjmením a podpisem v prostorách školy v obvyklém rozsahu je přípustné na základě právního titulu spočívajícího v oprávněném zájmu školy, tedy i bez předchozího souhlasu žáků (příp. jejich zákonného zástupce). Je přitom vhodné explicitně uvést v příslušném školním vzdělávacím programu, že děti v rámci výuky malují výkresy a vytváří další díla, přičemž tyto jsou následně vystavovány v prostorách školy. Opačný závěr by dle našeho názoru byl v rozporu se zásadami zpracování osobních údajů stanovenými ve čl. 5 GDPR, zejména se zásadou přiměřenosti.

Pokud by však měly být výkres nebo jiné žákem vytvořené dílo zaslány s jeho identifikačními údaji třetí osobě např. za účelem účasti na krajské soutěži nebo výstavě mimo prostory školy, pak by takové zpracování osobních údajů žáka již přesahovalo oprávněný zájem školy, a měl by být vyžádán předchozí souhlas s tímto nakládáním s osobními údaji.

Uveřejnění seznamu žáků třídy  

Konečně je v praxi řešena otázka, zda mohou školy uveřejňovat seznamy žáků jednotlivých tříd, nebo zda mohou alespoň třídní učitelé poskytnout seznam žáků všem rodičům v rámci třídy. MŠMT přijalo jednoznačný závěr, dle kterého se seznamy žáků nezveřejňují a neposkytují bez souhlasu žáků (příp. zákonných zástupců) jiným fyzickým nebo právnickým osobám nebo orgánům, které neplní funkci orgánu nadřízeného škole nebo povinnost takového předání nevyplývá ze zákona.[12] Pokud chce škola uveřejňovat seznam žáků tříd nebo poskytovat seznam žáků rodičům v rámci třídy, je si povinna vyžádat předchozí souhlas těchto žáků (příp. zákonných zástupců). Právní titul oprávněný zájem školy se zde jeví jako nepřiměřený, a nelze ho použít.

Závěrem lze uvést, že při posouzení, zda má v konkrétních případech poskytovat souhlas se zpracováváním osobních údajů škole sám žák, nebo jeho zákonný zástupce, je třeba vycházet z úrovně rozumové a volní vyspělosti (svéprávnosti)[13] daného žáka. Jakkoliv je pravdou, že posouzení musí být u každého jednotlivého dítěte provedeno individuálně, lze obecně vycházet z hranice věku 15 let dítěte, s jejímž dosažením návrh českého adaptačního zákona o zpracování osobních údajů[14] spojuje právo osoby k samostatnému poskytnutí souhlasu v souvislosti s nabídkou služeb informační společnosti.  

JUDr. Jakub Jeřábek, advokát

MT Legal s.r.o., advokátní kancelář

[1] GDPR je dále účinné na Islandu, v Norsku a v Lichtenštejnsku

[2] Právními tituly opravňující správce ke zpracování osobních údajů jsou (a) plnění smlouvy, (b) plnění právní povinnosti, (c) ochrana životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby, (d) plnění úkolu prováděného správcem ve veřejném zájmu nebo při výkonu veřejné moci, (e) oprávněný zájem správce nebo třetí strany, (f) souhlas subjektu údajů

[3] Aktualizované stanovisko ÚOOÚ č. 12/2012 k použití fotografie, obrazového a zvukového záznamu fyzické osoby. Dostupné z: https://www.uoou.cz/stanovisko-c-12-2012-k-pouziti-fotografie-obrazoveho-a-zvukoveho-zaznamu-fyzicke-osoby-aktualizace-rijen-2017/d-27693/p1=0

[4] Zaměstnanci by měli být školou o tomto uveřejnění informováni v souladu se čl. 13 GDPR

[5] Viz výše v poznámce č. 3

[6] Zákon č. 89/2012 Sb., občanský zákoník, ve znění pozdějších předpisů

[7] Ust. § 85 odst. 2 občanského zákoníku

[8] Uveřejnění v rámci tiskového, rozhlasového, televizního nebo obdobného zpravodajství je možné na základě tzv. zákonné zpravodajské licence

[9] MŠMT, Metodická pomůcka k aplikaci obecného nařízení o ochraně osobních údajů a zákona o zpracování osobních údajů v podmínkách školství, str. 9. Dostupné z: http://www.msmt.cz/dokumenty-3/metodicka-pomucka-k-aplikaci-obecneho-narizeni-o-ochrane 

[10] MŠMT, GDPR – otázky a odpovědi. Dostupné z: http://www.msmt.cz/dokumenty-3/gdpr-otazky-a-odpovedi

[11] Viz výše v poznámce č. 9, str. 26 Metodického pokynu

[12] MŠMT – stručný návod na zabezpečení procesů souvisejících s GDPR ve školách. Dostupné z: http://www.msmt.cz/dokumenty-3/strucny-navod-na-zabezpeceni-procesu-souvisejicich-s-gdpr

[13] Srov. § 15 odst. 2 občanského zákoníku

[14] Srov. § 7 návrhu zákona o zpracování osobních údajů, legislativní proces nebyl dosud ukončen